Apple은 고객 보호를 위해 완벽한 조사를 마치고 필요한 패치 또는 출시를 제공할 때까지 보안 문제에 대해 공개하거나, 이야기하거나, 확인하지 않습니다. Apple 제품 보안에 대한 자세한 내용을 알아보려면 Apple 제품 보안 웹 사이트를 참조하십시오.
Apple 제품 보안 PGP 키에 관한 자세한 내용은 Apple 제품 보안 PGP 키 사용 방법을 참조하십시오.
가능한 경우 CVE ID로 취약성에 대한 추가 정보를 참조할 수 있습니다.
다른 보안 업데이트에 대한 자세한 내용은 Apple 보안 업데이트를 참조하십시오.
iOS 8.1
-
Bluetooth
대상: iPhone 4s 이후 버전, iPod touch (5th generation) 이후 버전, iPad 2 이후 버전
영향: 악성 Bluetooth 입력 장비가 연결을 우회할 수 있습니다.
설명: 휴먼 인터페이스 장비 수준의 Bluetooth 저에너지 액세서리에서 암호화되지 않은 연결이 허용되었습니다. iOS 장비가 이 액세서리와 연결된 경우 공격자는 적법한 액세서리를 스푸핑하여 연결을 설정할 수 있습니다. 이 문제는 암호화되지 않은 HID 연결을 거부하여 해결되었습니다.
CVE-ID
CVE-2014-4428: iSEC Partners의 Mike Ryan
-
House Arrest
대상: iPhone 4s 이후 버전, iPod touch (5th generation) 이후 버전, iPad 2 이후 버전
영향: 장비에 전송되는 파일이 충분한 암호화로 보호되지 않고 작성될 수 있습니다.
설명: 파일이 App의 Documents 디렉토리로 전송되며 하드웨어 UID로만 보호되는 키로 암호화될 수 있습니다. 이 문제는 하드웨어 UID 및 사용자 암호로 보호되는 키로 전송 파일을 암호화하여 해결되었습니다.
CVE-ID
CVE-2014-4448: Jonathan Zdziarski, Kevin DeLong
-
iCloud 데이터 접근
대상: iPhone 4s 이후 버전, iPod touch (5th generation) 이후 버전, iPad 2 이후 버전
영향: 허가된 네트워크 위치에 있는 공격자가 iCloud 데이터 접근 클라이언트를 강제로 조작하여 중요한 정보를 유출할 수 있습니다.
설명: iCloud 데이터 접근 클라이언트에 TLS 인증서 확인 취약성이 있습니다. 이 문제는 향상된 인증서 확인을 통해 해결되었습니다.
CVE-ID
CVE-2014-4449: USAA의 Carl Mehner
-
키보드
대상: iPhone 4s 이후 버전, iPod touch (5th generation) 이후 버전, iPad 2 이후 버전
영향: QuickType에서 사용자의 자격 증명을 기억할 수 있습니다.
설명: 요소 간 전환 시 QuickType에서 사용자의 자격 증명을 기억할 수 있습니다. 이 문제는 자동 완성이 비활성화된 필드 값을 기억하지 않는 QuickType을 사용하고 기존 WebKit에서 DOM 입력 요소 간 전환 시 이 기준을 다시 적용하여 해결되었습니다.
CVE-ID
CVE-2014-4450
-
보안 전송
대상: iPhone 4s 이후 버전, iPod touch (5th generation) 이후 버전, iPad 2 이후 버전
영향: 공격자가 SSL로 보호되는 데이터의 암호를 해제할 수 있습니다.
설명: 일련의 암호가 CBC 모드에서 블록 암호를 사용하는 경우 SSL 3.0의 기밀성을 침해하는 공격이 몇 가지 있습니다. 공격자는 서버에서 개선된 TLS 버전을 지원하는 경우에도 TLS 1.0과 강력한 연결 시도를 차단하여 SSL 3.0을 강제로 사용할 수 있습니다. 이 문제는 TLS 연결 시도가 실패했을 때 CBC 암호를 비활성화하여 해결되었습니다.
CVE-ID
CVE-2014-3566: Google Security Team의 Bodo Moeller, Thai Duong, Krzysztof Kotowicz